Правительство США в четверг объявило, что получило судебное разрешение на конфискацию или ограничение использования более 1,2 миллиарда долларов, украденных в ходе прошлогоднего взлома Binance на сумму 6,3 миллиарда долларов, в рамках более широких усилий по пресечению продолжающихся краж криптовалют Северной Кореей.
Суд также разрешил ликвидировать облачную инфраструктуру, использовавшуюся в схеме социальной инженерии Корейской Народно-Демократической Республики (КНДР) под названием «FaceStealer», которая принесла более 400 миллионов долларов за последние 18 месяцев.
Она называется FaceStealer, потому что включала в себя тайно записанные видео с веб-камер. Жертвами обычно становятся люди, работающие в индустрии криптовалют и web3, а также разработчики и сопровождающие открытого программного обеспечения, которых хакеры из КНДР выбирают в надежде получить доступ к контролируемым ими репозиториям программного обеспечения в качестве первого шага к созданию атак на цепочки поставок.
Украдено более 900 лиц
ФБР сообщило, что изъяло более 900 видео с веб-камер, принадлежащих этим техническим работникам.
Вот как работает атака.
Сначала северокорейцы отправляют целям приглашение присоединиться к видеовстрече. Эти приглашения поступают с захваченных учетных записей, которые следующая предполагаемая жертва может счесть знакомыми или заслуживающими доверия.
«Вы подумаете, что это реально, потому что это будет основано либо на разговорах, либо на интересах, которые вы выражали в прошлом с этим реальным человеком», — сказал специальный агент Джереми Робертсон, курирующий контрразведку и киберрасследования в ФБР Лос-Анджелеса.
«Затем они отправят вам ссылку для подключения, и это обычно приглашение в календарь, и там будут некоторые URL-адреса с опечатками», — сказал он журналистам в четверг.
URL-адрес перенаправляет жертву на поддельное собрание Zoom или Teams, и киберпреступники записывают видео с веб-камеры цели, воспроизводя фальшивое, предварительно записанное видео человека, который якобы отправил приглашение на встречу.
Иногда хакеры также используют дипфейк-видео известных личностей из индустрии криптовалют и web3, как нам сообщили.
«Когда вы входите в систему, тот, кто вас пригласил — ваш друг или деловой партнер — будет на экране, но вы не услышите никакого звука», — сказал Робертсон. «Но вы увидите его лицо, вы увидите, как он оглядывается, вы увидите, как он шевелит губами, и затем в текстовом поле вы получите некоторые инструкции».
«Вы отключены» как вектор социальной инженерии
В текстовом поле жертве сообщают, что человек на другом конце видеозвонка ее не слышит, ей необходимо обновить программное обеспечение для правильной работы звука, и отправляют ссылку на предполагаемое исправление.
Нажатие на ссылку для доступа к «исправлению» устанавливает вредоносное ПО для кражи криптовалюты на компьютер жертвы и отправляет ее список контактов цифровым ворам для продолжения мошенничества.
ФБР относит FaceStealer к группе, связанной с Северной Кореей, отслеживаемой как Sapphire Sleet, которая широко считается ответвлением Lazarus Group. Sapphire Sleet также известна как UNC1069, Stardust Chollima, APT38 и BlueNoroff.
«Действующие лица, стоящие за этой деятельностью, обычно называемые Sapphire Sleet и другими связанными названиями, являются частью более широких усилий Северной Кореи по получению доходов для режима, краже виртуальных активов и получению доступа к сетям и доверенным онлайн-экосистемам», — заявил журналистам Бретт Литерман, помощник директора киберподразделения ФБР. «Северокорейские хакеры все чаще смешивают кибервторжения, социальную инженерию и новые технологии, такие как дипфейки, чтобы сделать свои попытки выдачи себя за других более убедительными и масштабируемыми».
Обновление по взлому Binance
ФБР также предоставило обновленную информацию о своих усилиях по возврату украденных активов после атаки на Binance 29 октября. Ранее агентство обвинило взлом на 6,3 миллиарда долларов в операции TraderTraitor, связанной с Северной Кореей и также с Lazarus Group.
На прошлой неделе Binance сообщила, что злоумышленники заложили основу для своей «сложной многоэтапной кампании» еще в июне, и заявила, что она включала социальную инженерию во время фальшивых собеседований, загрузку вредоносного ПО, компрометацию внутренних инструментов ИИ, захват конечных точек и «продвинутый метод авторизации транзакций».
С момента кражи федеральные следователи и партнеры из частного сектора помогли заморозить более 2,7 миллиарда долларов украденных активов. Судебное разрешение Министерства юстиции охватывает более 1,2 миллиарда долларов из этой суммы.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
